KB5042429: Neues Wiederherstellungstool zur Unterstützung des CrowdStrike-Problems mit Auswirkungen auf Windows-Geräte

Zusammenfassung

Als Folge des CrowdStrike Falcon-Agent-Problems, das sich auf Windows-Clients und -Server auswirkte, haben wir ein aktualisiertes Wiederherstellungstool mit zwei Reparaturoptionen veröffentlicht, um IT-Administratoren dabei zu helfen, den Reparaturprozess zu beschleunigen. Das Tool automatisiert die manuellen Schritte in KB5042421 (Client) und KB5042426 (Server). Laden Sie das signierte Microsoft-Wiederherstellungstool aus dem Microsoft Download Center herunter. Sie können das Tool verwenden, um Windows-Clients, -Server und virtuelle Hyper-V-Computer (VMs) wiederherzustellen.

Es gibt zwei Reparaturoptionen:

• Wiederherstellen von Windows PE: Diese Option verwendet Startmedien, die die Gerätereparatur automatisieren.
• Wiederherstellen aus abgesichertem Modus: Diese Option verwendet Startmedien für betroffene Geräte, um im abgesicherten Modus zu starten. Ein Administrator kann sich dann mit einem Konto mit lokalen Administratorrechten anmelden und die Schritte zur Fehlerbehebung ausführen.

Bestimmen der zu verwendenden Option

---

Zusätzliche Überlegungen

Obwohl die USB-Option bevorzugt wird, unterstützen einige Geräte USB-Verbindungen möglicherweise nicht. Informationen zu diesen Situationen finden Sie im Abschnitt zur Verwendung der Pre-Boot eXecution Environment (PXE) für die Wiederherstellung.

Wenn das Gerät keine Verbindung mit einem PXE-Netzwerk herstellen kann und USB keine Option ist, führen Sie die manuellen Schritte in den folgenden Artikeln aus:

• KB5042421: CrowdStrike-Problem, das sich auf Windows-Endpunkte auswirkt und eine 0x50- oder 0x7E Fehlermeldung auf einem Bluescreen verursacht
• KB5042426: CrowdStrike-Problem, das sich auf Windows-Server auswirkt und eine 0x50- oder 0x7E Fehlermeldung auf einem Bluescreen verursacht

Andernfalls könnte ein Reimaging des Geräts eine Lösung sein.

Testen Sie jede Wiederherstellungsoption zunächst auf mehreren Geräten, bevor Sie sie in Ihrer Umgebung allgemein verwenden.

Erstellen des Startmediums

Voraussetzungen für die Erstellung des Startmediums

1. Ein Windows 64-Bit-Client mit mindestens 8 GB freiem Speicherplatz, auf dem Sie das Tool zum Erstellen des startbaren USB-Laufwerks ausführen können.
2. Administratorrechte auf dem Windows-Client ab Voraussetzung #1.
3. Ein USB-Laufwerk mit einer Mindestgröße von 1 GB, das nicht größer als 32 GB ist. Das Tool löscht alle vorhandenen Daten auf diesem Laufwerk und formatiert es automatisch auf FAT32.

Anweisungen zum Erstellen des Startmediums

Führen Sie zum Erstellen von Wiederherstellungsmedien aus dem 64-Bit-Windows-Client in Voraussetzung #1 die folgenden Schritte aus:

1. Laden Sie das signierte Microsoft-Wiederherstellungstool aus dem Microsoft Download Center herunter.

2. Extrahieren Sie das PowerShell-Skript aus der heruntergeladenen Datei.

3. Öffnen Sie Windows PowerShell als Administrator, und führen Sie das folgende Skript aus:MsftRecoveryToolForCS.ps1

4. Das Tool lädt das Windows Assessment and Deployment Kit (Windows ADK) herunter und installiert es. Dieser Vorgang kann einige Minuten in Anspruch nehmen.

5. Wählen Sie eine der beiden Optionen für die Wiederherstellung betroffener Geräte aus: Windows PE oder abgesicherter Modus.

6. Wählen Sie optional ein Verzeichnis aus, das die Treiberdateien enthält, die in das Wiederherstellungsimage importiert werden sollen. Es wird empfohlen N , diesen Schritt zu überspringen.

   1. Das Tool importiert alle SYS- und INI-Dateien rekursiv unter dem angegebenen Verzeichnis.
   2. Bestimmte Geräte, z. B. Surface-Geräte, benötigen möglicherweise zusätzliche Treiber für die Tastatureingabe.

7. Wählen Sie die Option zum Generieren einer ISO-Datei oder eines USB-Laufwerks.

8. Wenn Sie die USB-Option auswählen:

   1. Schließen Sie das USB-Laufwerk an, wenn Sie dazu aufgefordert werden, und geben Sie den Laufwerkbuchstaben an.
   2. Sobald das Tool die Erstellung des USB-Laufwerks abgeschlossen hat, entfernen Sie es vom Windows-Client.

Anweisungen zur Verwendung der Wiederherstellungsoption

---

Verwenden von Wiederherstellungsmedien auf virtuellen Hyper-V-Computern

Sie können das Wiederherstellungsmedium verwenden, um betroffene virtuelle Hyper-V-Computer (VMs) zu beheben. Wählen Sie beim Erstellen des Startmediums die Option zum Generieren einer ISO-Datei aus.

Anweisungen zur Wiederherstellung von virtuellen Hyper-V-Computern

1. Fügen Sie auf einer betroffenen VM ein DVD-Laufwerk unter den Hyper-V-Einstellungen>SCSI-Controller hinzu.

   

2. Navigieren Sie zur Wiederherstellungs-ISO, und fügen Sie sie als Imagedatei unter den Hyper-V-Einstellungen>hinzu. SCSI-Controller-DVD-Laufwerk>

   

3. Notieren Sie sich die aktuelle Startreihenfolge , damit Sie sie später manuell wiederherstellen können. Die folgende Abbildung zeigt ein Beispiel für eine Startreihenfolge, die sich von der Konfiguration Ihres virtuellen Computers unterscheiden kann.

   

4. Ändern Sie die Startreihenfolge , um als erster Starteintrag im DVD-Laufwerk nach oben zu verschieben.

   

5. Starten Sie den virtuellen Computer, und drücken Sie eine beliebige Taste, um das Starten auf dem ISO-Image fortzusetzen.

6. Führen Sie je nachdem, wie Sie das Wiederherstellungsmedium erstellt haben, die zusätzlichen Schritte aus, um die Wiederherstellungsoptionen für Windows PE oder den abgesicherten Modus zu verwenden.

7. Legen Sie die Startreihenfolge in den Hyper-V-Einstellungen der VM auf die ursprünglichen Starteinstellungen zurück.

8. Starten Sie den virtuellen Computer normal neu.

Verwenden von PXE für die Wiederherstellung

Bei den meisten Kunden helfen die anderen Wiederherstellungsoptionen bei der Wiederherstellung Ihrer Geräte. Wenn Geräte die Option zur Wiederherstellung von USB jedoch nicht verwenden können, z. B. aufgrund von Sicherheitsrichtlinien oder der Verfügbarkeit von Ports, können IT-Administratoren PXE zur Behebung verwenden.

Um diese Lösung zu verwenden, können Sie das Windows Imaging Format (WIM)-Image verwenden, das das Microsoft-Wiederherstellungstool in einer vorhandenen PXE-Umgebung erstellt. Die betroffenen Geräte müssen sich im selben Netzwerksubnetz wie der vorhandene PXE-Server befinden.

Alternativ können Sie den unten beschriebenen PXE-Serveransatz verwenden. Diese Option funktioniert am besten, wenn Sie den PXE-Server zu Wartungszwecken problemlos von Subnetz zu Subnetz verschieben können.

Voraussetzungen für die PXE-Wiederherstellung

1. Ein 64-Bit-Windows-Gerät, das das Startimage hostet. Dieses Gerät wird als "PXE-Server" bezeichnet.

   1. Der PXE-Server kann auf jedem unterstützten Windows-Client mit 64-Bit-Betriebssystemen ausgeführt werden.

   2. Der PXE-Server sollte über Internetzugriff verfügen, um das Microsoft PXE-Tool aus dem Microsoft Download Center herunterladen zu können. Sie können sie auch von einem anderen System im Netzwerk auf den PXE-Server kopieren.

   3. Für den PXE-Server sollten eingehende Firewallregeln für die UDP-Ports 67, 68, 69, 547 und 4011 erstellt werden. Mit dem heruntergeladenen PXE-Tool (MSFTPXEToolForCS.exe) werden die Windows-Firewalleinstellungen auf dem PXE-Server aktualisiert. Wenn der PXE-Server eine Firewalllösung verwendet, die nicht von Microsoft stammt, erstellen Sie Regeln entsprechend den Empfehlungen.

      Hinweis

      Dieses Skript bereinigt die Firewallregeln nicht sauber. Sie sollten diese Firewallregeln nach Abschluss der Behebung entfernen. Um diese Regeln aus der Windows-Firewall zu entfernen, öffnen Sie Windows PowerShell als Administrator und führen Sie den folgenden Befehl aus:MSFTPXEInitToolForCS.ps1 clean

   4. Administratorrechte zum Ausführen des PXE-Tools.

   5. Der PXE-Server benötigt die Microsoft Visual C++ Redistributable. Laden Sie die neueste Version herunter, und installieren Sie sie.

2. Die betroffenen Windows-Geräte sollten sich im selben Subnetz wie der PXE-Server befinden. Sie sollten fest verdrahtet werden, anstatt ein Wi-Fi Netzwerk zu verwenden.

Konfigurieren des PXE-Servers

1. Laden Sie das Microsoft PXE-Tool aus dem Microsoft Download Center herunter. Extrahieren Sie den Inhalt des ZIP-Archivs in ein beliebiges Verzeichnis. Es enthält alle erforderlichen Dateien.

2. Öffnen Sie Windows PowerShell als Administrator. Wechseln Sie in das Verzeichnis, in das Sie die Dateien extrahiert haben, und führen Sie den folgenden Befehl aus: MSFTPXEInitToolForCS.ps1

   1. Das Skript sucht nach der Installation von Windows ADK und Windows PE Add-On auf dem PXE-Server. Wenn sie nicht installiert sind, werden sie vom Skript installiert. Lesen und akzeptieren Sie die Lizenzbedingungen, um mit der Installation fortzufahren.
   2. Das Skript generiert die Wartungsskripts und erstellt ein gültiges Startabbild.
   3. Akzeptieren Sie ggf. die Eingabeaufforderung, und geben Sie einen Pfad mit den Treiberdateien an. Möglicherweise sind Treiberdateien für Tastatur- oder Massenspeichergeräte erforderlich. Im Allgemeinen müssen Sie keine Treiber hinzufügen. Wenn Sie keine zusätzlichen Treiberdateien benötigen, wählen Sie Naus.
   4. Sie können den PXE-Server so konfigurieren, dass er ein Standardimage für die Wartung oder ein Image im abgesicherten Modus bereitstellt. Die folgenden Eingabeaufforderungen werden angezeigt:
      1. Starten Sie zu WinPE, um das Problem zu beheben. Wenn der Systemdatenträger BitLocker-verschlüsselt ist, muss der BitLocker-Wiederherstellungsschlüssel eingegeben werden.
      2. Urheberrecht Starten Sie zu WinPE, konfigurieren Sie den abgesicherten Modus, und führen Sie den Reparaturbefehl aus, nachdem Sie in den abgesicherten Modus gewechselt haben. Für diese Option ist es weniger wahrscheinlich, dass ein BitLocker-Wiederherstellungsschlüssel erforderlich ist, wenn der Systemdatenträger BitLocker-verschlüsselt ist.
   5. Das Skript generiert die erforderlichen Verteilungsdateien und gibt den Pfad an, in den es das PXE-Servertool kopiert.

3. Überprüfen Sie die Voraussetzungen für die PXE-Wiederherstellung, insbesondere die für Microsoft Visual C++ Redistributable.

4. Wechseln Sie als Administrator in der PowerShell-Konsole in das Verzeichnis, in das das PXE-Servertool kopiert wird, und führen Sie den folgenden Befehl aus, um den Listenerprozess zu starten: .\MSFTPXEToolForCS.exe

   1. Während der PXE-Server Verbindungen verarbeitet, werden keine weiteren Antworten angezeigt. Schließen Sie dieses Fenster nicht, da dadurch der PXE-Server beendet wird.

   2. Sie können den Fortschritt des PXE-Servers in der MSFTPXEToolForCS.log Datei im gleichen Verzeichnis überwachen.

      Hinweis

      Wenn Sie mehrere PXE-Server für unterschiedliche Subnetze ausführen möchten, kopieren Sie das Verzeichnis mit dem PXE-Servertool und führen Sie die Schritte 3 & 4 erneut aus.

Zusätzliche Informationen zu PXE

• PXE-Startvorgang im Konfigurations-Manager
• Erweiterte Fehlerbehebung für PXE-Startprobleme
• Sie möchten PXE starten? Verwenden Sie keine DHCP-Optionen

Verwenden von PXE zum Wiederherstellen eines betroffenen Geräts

Das betroffene Gerät muss sich im selben Subnetz wie der PXE-Server befinden. Wenn sich die Geräte in unterschiedlichen Subnetzen befinden, konfigurieren Sie die IP-Hilfsprogramme in Ihrer Netzwerkumgebung, um die Erkennung des PXE-Servers zu ermöglichen.

Wenn das betroffene Gerät nicht für den PXE-Start konfiguriert ist, gehen Sie folgendermaßen vor:

1. Greifen Sie auf dem betroffenen Gerät auf das BIOS\UEFI-Menü zu.

   1. Dies ist bei verschiedenen Modellen und Herstellern unterschiedlich. Informationen zu Marke und Modell des Geräts finden Sie in der Dokumentation des Originalgeräteherstellers.
   2. Häufige Optionen für den Zugriff auf das BIOS\UEFI umfassen das Drücken einer Taste wie F2, F12, ENTF oder ESC während der Startsequenz.

2. Stellen Sie sicher, dass der Netzwerkstart auf dem Gerät aktiviert ist. Weitere Anleitungen finden Sie in der Dokumentation des Geräteherstellers.

3. Konfigurieren Sie die Netzwerkstartoption als erste Startpriorität.

4. Speichern Sie die neuen Einstellungen. Starten Sie das Gerät neu, damit die Einstellungen angewendet werden, und starten Sie von PXE aus.

Wenn Sie das betroffene Gerät per PXE starten, hängt das Verhalten davon ab, ob Sie Windows PE oder das Wiederherstellungsmedium im abgesicherten Modus für den PXE-Server ausgewählt haben.

Weitere Informationen zu diesen Optionen finden Sie unter den zusätzlichen Schritten zur Verwendung der Wiederherstellungsoptionen von Windows PE oder abgesicherter Modus.

1. Für die Windows PE-Wiederherstellungsoption wird der Benutzer aufgefordert, Windows PE zu starten, und das Korrekturskript wird automatisch ausgeführt.

2. Bei der Wiederherstellungsoption im abgesicherten Modus startet das Gerät im abgesicherten Modus. Der Benutzer muss sich mit dem lokalen Administratorkonto anmelden und das Skript manuell ausführen.

   1. Öffnen Sie Windows PowerShell im abgesicherten Modus und als lokaler Administrator angemeldet.
   2. Führen Sie die folgenden Befehle aus:
      del %SystemRoot%\System32\drivers\CrowdStrike\C-00000291*.sys
      bcdedit /deletevalue {current} safeboot
      shutdown -r -t 00

Starten Sie nach Abschluss das Gerät normal neu, indem Sie auf die Eingabeaufforderung auf dem Bildschirm reagieren. Greifen Sie auf das BIOS\UEFI-Menü zu, und aktualisieren Sie die Startreihenfolge, um den PXE-Start zu entfernen.

CrowdStrike kontaktieren

Wenn Sie nach Ausführung der obigen Schritte weiterhin Probleme bei der Anmeldung auf Ihrem Gerät haben, wenden Sie sich bitte an CrowdStrike , um weitere Unterstützung zu erhalten.

Weitere Informationen

Weitere Informationen zu dem Problem, das sich auf Windows-Clients und -Server auswirkt, auf denen der CrowdStrike Falcon-Agent ausgeführt wird, finden Sie in den folgenden Ressourcen:

• Eine Vielzahl von Windows-Informationen finden Sie unter Windows-Versionsintegrität (Windows Release Health, aka.ms/WRH).

• Detaillierte Wiederherstellungsschritte sind in den folgenden Artikeln verfügbar:

  • KB5042421: CrowdStrike-Problem, das sich auf Windows-Endpunkte auswirkt und eine 0x50- oder 0x7E Fehlermeldung auf einem Bluescreen verursacht
  • KB5042426: CrowdStrike-Problem, das sich auf Windows-Server auswirkt und eine 0x50- oder 0x7E Fehlermeldung auf einem Bluescreen verursacht

• Windows 365 Cloud-PC-Kunden können versuchen, ihren Cloud-PC vor der Veröffentlichung des Updates (19. Juli 2024) in einen bekannten fehlerfreien Zustand zurückzusetzen. Weitere Informationen finden Sie in einem der folgenden Artikel:

  • Point-in-Time-Wiederherstellung für Windows 365 Enterprise
  • Point-in-Time-Wiederherstellung für Windows 365 Business

• Führen Sie für Windows-VMs, die auf Microsoft Azure ausgeführt werden, die unter Azure status beschriebenen Schritte zur Entschärfung aus.

• Weitere Details von CrowdStrike sind im CrowdStrike-Hub für Korrektur und Anleitung erhältlich: Falcon-Inhaltsupdate für Windows-Hosts.

• Der Blogbeitrag Microsoft Intune Customer Success zum Wiederherstellungstool enthält Kommentare von anderen IT-Administratoren, die hilfreich sein können.

Referenzmaterial

Haftungsausschluss für Drittanbieterinformationen

Die in diesem Artikel genannten Drittanbieterprodukte stammen von Herstellern, die von Microsoft unabhängig sind. Microsoft gewährt keine implizite oder sonstige Garantie in Bezug auf die Leistung oder Zuverlässigkeit dieser Produkte.

Die Kontaktinformationen zu den in diesem Artikel erwähnten Drittanbietern sollen Ihnen helfen, den benötigten technischen Support zu finden. Diese Kontaktinformationen können ohne vorherige Ankündigung geändert werden. Sie werden von Microsoft ohne jede Gewähr weitergegeben.